怎样才能搞好网站安全防护的工作今天这篇文章本应该在csdn、天天快报、天涯论坛等大网站手机用户数据信息被泄漏时就应该写的,可那时候确实都没有写网站安全防护层面文章内容的推动力,许多自媒体都是在讨论网络信息安全层面的事儿,许多文章内容以至于有千篇一律的一小部分,一直到上星期我的好多个公司网站连续不断被黑客入侵,网站安全防护的工作才真真正正引发了我的注重。当中2个用dedecms做的公司网站,公司网站底端被直接挂了很多的隱藏超链接,我也是在检测友链的情况下发觉了有很多的导出来超链接,依据网页源代码才发觉公司网站被侵入了。
虽然DedeCMS织梦程序已经很久没有更新升级,但是依旧有很多人在使用。比如我们可以看到市面上有很多第三方的DedeCMS主题和插件,从生态角度看,目前DedeCMS算是国产CMS程序中使用最多的。从功能上看目前已经基本完善,这个也可能是老蒋认为一直没有升级更新的原因之一。
总结一些防止dedecms系统被攻击设置的方法,可有效的防止织梦系统被挂马,仅供各位站长参考。 1.安装时数据库的前缀不用dedecms默认的前缀dede_,可以改成其他的名称如diy_ 2.装好dede织梦cms系统后删除装文件install 3.修改织梦后台文件目录:把默认的dede改成其他名字 4.织梦后台后台密码尽量复杂化:密码应该由大写字母、小写字母和数字组成 5.将系统的data目录迁移到根目录以外:data目录是系统缓存和配置文件的目录,一般都有可以读写的权限,只要是能够写入的目录都可能存在安
进入DedeCms后台 -> 系统 -> 数据库备份/还原 备份文件在\data\backupdata
安装之前需要准备 空间可以正常使用PHP+MYSQL 空间数据库用户名和密码 第一步:下载后解压uploads文件夹到指定的文件夹内(我这使用的www/dedecms文件夹,本例用网站目录代替) 第二步:在地址栏输入http://您的域名/dedecms(如果你在本地测试那么就是http://localhost/dedecms/) 第三步:同意安装协议,点击继续 第四步:环境检测,如果都符合要求则点击继续 第五步:参数配置 选择需要的模块安装(这里只是演示入门教程,所以就不没有安装任何) 数据库信息填写(其
DedeCMS 5.7 SP2版本中的uploads/include/dialog/select_images_post.php文件存在文件上传漏洞,远程攻击者可利用该漏洞上传并执行任意PHP代码。
2018-12-11 在CVE中文申请站公布了一个 DEDECMS 5.7 SP2 最新版本中存在文件上传漏洞,具有管理员权限者可利用该漏洞上传并getshell执行任意PHP代码。
国内草根站长用的最多的一款建站源程序就是dedecms,通常是通过FTP或者服务器面板自带的文件管理器来上传下载的。FTP可视性、体验都相对差一点,且需要事先安装FTP软件,更换环境后的站点管理上有很多不便;另一方面,涉及一些站点代码修改,在线编程需求时,需要下载到本地修改后,之后再上传覆盖,也会比较麻烦。
dedecms2013年6月7日补丁或者新版本dedecms程序,去掉power by dedecms的方法
最近有网友问dedecms无法创建rss文件提示:DedeTag Engine Create File False
很多客户的网站被拦截并提示:“该内容被禁止访问”,大多数客户使用的都是阿里云的虚拟主机以及ECS服务器,最近发生这种问题的网站也越来越多,这几天刚解决完一个客户网站被阿里云:违规URL屏蔽访问处理通知并拦截,经过朋友介绍找到我们SINE安全公司。
灵感不就来了,那么初步判断有可能是dedecms尝试了几个dedecms的目录,均是not found
织梦dedecms是站长使用得比较多的一个建站开源程序,正因如此,也是被被入侵挂马比较多的程序。下面就来跟大家说一下怎么重新命名dedecms的include文件夹以及plus文件夹来提高网站的安全性,减少被黑客软件扫描到漏洞的概率。 dedecms的漏洞主要集中在data、include、plus、dede、member几个文件夹中的php文件里,对于data这个文件夹我们可以把它移到网站的根目录外,dede可以冲命名,member可以删掉,一般用不着,special专题功能 install安装程序(必
最近有网站用了织梦,因为dedecms后台实在复古且复杂,所以一直没有好好长久接触。但瘦死的骆驼比马大,不得不承认织梦的模板还是非常多的。
织梦dedecms是新手站长使用得比较多的一个建站开源程序,正因如此,也是被被入侵挂马比较多的程序。下面就来跟大家说一下重新命名dedecms的include文件夹后后台选择副栏目空白无法加载的问题
有一位网友反映说迁移服务器后,进入dedecms后台发现左边菜单一片空白,显示不出来,遇到这种现象一般是空间的权限问题,没有写入权限,修改一下空间的目录权限就可以了, 1.首先进行判断是程序问题还是权限问题。通常这种都属于权限问题。 2.使用FTP登陆网站。找到DATA/tplcache 文件夹。将里面的数据备份。 3.在文件夹上面右键。并设置其属性为777。然后将里面的文件除了index.html文件外全部删除。 4.刷新后台。问题解决,dede后台菜单正常显示! 有些朋友
11 制定合理的mysql数据备份方案,并写备份脚本,要求把备份数据传输到备份服务器
织梦dedecms是新手站长使用得比较多的一个建站开源程序,正因如此,也是被被入侵挂马比较多的程序。米米素材网小白下面就来跟大家说一下重新命名dedecms的include文件夹后后台属性编辑无法加载的问题
老蒋看到有网友提到在使用DedeCMS程序上传图片的时候有提示"Upload filetype not allow"错误提示问题,正常的时候是没有问题的,因为可能是某个安全过滤导致的无法上传,所以我们有可能需要调整网站目录是否有可写权限,如果在确定可写权限没有问题的话,我们需要修改文件的目录代码。
织梦dedecms是新手站长使用得比较多的一个建站开源程序,正因如此,也是被被入侵挂马比较多的程序。下面米米素材网小白就来跟大家说一下重新命名dedecms的include文件夹后后台属性编辑无法加载的问题
2.检查selinux是否已关闭,防火墙的80端口是否已打开,或者是否清空了防火墙规则:
这段时间在赶一些新项目,我们建站一般都在本地服务器搭建起来,测试得差不多了才传到网上,这样对蜘蛛也相对友好一些,要不然改来改去变化太大给搜索引擎的第一印象很不好。但是由于本地环境和服务器环境还是有
云开发静态托管是云开发提供的静态网站托管的能力,静态资源(HTML、CSS、JavaScript、字体等)的分发由腾讯云对象存储 COS 和拥有多个边缘网点的腾讯云 CDN 提供支持
这几年用过很多cms,dedecms,帝国cms等等,大多数改后台目录一般都是通过直接进入文件目录修改,或者通过ftp修改目录名,最近因为dedecms安全漏洞问题一直无法修复,一些项目需要改用pageadmin网站系统来做。
大清早的一上班收到3个网站客户的QQ联系,说是自己公司的网站被跳转到了北京sai车,cai票,du博网站上去了,我们SINE安全公司对3个网站进行了详细的安全检测,发现这3个客户的网站都是同样的症状,网站首页文件index.php,index.html都被篡改添加了恶意的代码。网站在百度的快照也被更改成了这些cai票,bo彩的内容了,并被百度网址安全中心提醒您:该站点可能受到黑客攻击,部分页面已被非法篡改!如下图所示:
http://jingyan.baidu.com/article/ad310e80aeb0971849f49e8e.html
0x00 前言 昨天晚上做了一个神奇的梦,梦到了我高中时候晚自习在偷偷的看《黑客攻防技术宝典》,当年的事情无论是苦是乐,回忆起来总是感觉非常的美好。但是,现实就是现实,梦境还是要被舍友的闹铃声打破,在大梦初醒后,我仿佛有一种“垂死梦中惊坐起”的感觉,是谁为我织出了这么美好的一个梦境?难道织梦CMS(DedeCMS)又要出0day了?于是,我立马从床上跳了下来,打开电脑,从官网下载了最新版的织梦CMS(DedeCMS V5.7 SP2正式版),心想着一定要代码审计一波带走。于是乎,就有了你现在正在阅读的这篇文
正月里来是新年,刚开始上班我们SINE安全团队,首次挖掘发现了一种新的挖矿木马,感染性极强,穿透内网,自动尝试攻击服务器以及其他网站,通过我们一系列的追踪,发现了攻击者的特征,首先使用thinkphp远程代码执行漏洞,以及ecshop getshell漏洞,phpcms缓存写入漏洞来进行攻击网站,通过网站权限来提权拿到服务器管理员权限,利用其中一台服务器作为中转,来给其他服务器下达命令,执行攻击脚本,注入挖矿木马,对一些服务器的远程管理员账号密码,mysql数据库的账号密码进行暴力猜解。
就如Windows中软件安装包一样,Linux中软件也有指导安装的文件,解压完成后找到readme.txt文件,查看其内容,其实安装方法就在这里。
织梦CMS在安装完成后,新人往往会直接开始开发使用,忽视了一些安全优化的操作,这样会导致后期整个系统安全系数降低,被黑或者被注入的概率极高,毕竟这世界百分百存在着极多的无聊hacker对全网的网站进行扫描,扫到你这个菜站,尤其是使用率极高的DEDECMS,对你的站点下手的欲望更高,所以在开发前做好安全防范还是很有必要的!
2018年的中秋节即将来临,我们Sine安全公司,最近接到很多用dedecms程序的企业公司网站客户的反馈,说是公司网站经常被篡改,包括网站首页的标题内容以及描述内容,都被改成了什么北京sai车,北京P-K等等的内容,而且大多数的网站客户都是从百度搜索关键词,点击进公司网站会被直接跳转到赌bo网站上去。
本题算是一道较为综合的渗透题,要求对两个服务器系统进行渗透,这两个 CMS 同样能在网上找到许多漏洞,常用作渗透测试的练习靶机。
完成后在浏览器中输入192.168.100.50即可访问dedecms主页,渗透之路由此开始
0.背景分析 当今的互联网站点,各种cms和框架大规模普及,这虽然方便了广大站长,但是这些开源项目的安全性不容乐观,比如前一阵子的strutsII漏洞使各大平台和高校网站被入侵。 如今各大漏洞库的建立为我们提供了丰富的漏洞资源。国内有乌云网,sebug,国际上有CVE和exploit-db。我们可以从这些网站和各大安全论坛获得漏洞资源,编写利用程序。 那么我们既然有如此丰富的资源,为何不编写一款可扩展的集成各种漏洞扫描和利用功能的渗透测试平台呢。 我与很多国内的黑客讨论过,他们表示正在写或者有意向编写一
在dedecmd系统里面,对一篇文章的副栏目选择作了最大数量为9 的限制,即,一篇文档最多只能同时属于9个副栏目和一个主栏目,以下几步轻松解决这个问题。
老蒋在上周的时候有记录和整理"帝国CMS最新版本下载和详细的安装图文教程记录"帝国CMS程序的安装和体验,在N年前老蒋对于这款CMS还是比较熟悉的,帝国CMS7.5版本和早年的没有特别的区别,但是在功能和移动端是有加强部分功能。如果我们需要依靠CMS搭建交互性较强的,以及选择安全性较高的CMS程序可以使用帝国CMS,但是如果我们需要简单的WEB1.0内容管理系统,老蒋个人觉得帝国CMS稍显累赘。
4 由于机器有限,尽可能地把三个站点放到同一台服务器上,然后做负载均衡集群,要求所有站点域名解析到一个ip上,也就是说只有一个出口ip
阿里云ECS服务器是目前很多网站客户在使用的,可以使用不同系统在服务器中,windows2008 windows2012,linux系统都可以在阿里云服务器中使用,前段时间我们SINE安全收到客户的安全求助,说是收到阿里云的短信提醒,提醒服务器存在挖矿进程,请立即处理的安全告警。客户网站都无法正常的打开,卡的连服务器SSH远程连接都进不去,给客户造成了很大的影响。
感觉自己代码审计的能力不太行,于是下载了一个cms来锻炼下自己的代码审计功底,这篇文章记录一下这个dedecms代码执行的漏洞
深信服公众号前几天发了Dedecms未授权RCE的漏洞通告。地址是这个: 【漏洞通告】DedeCMS未授权远程命令执行漏洞
最近DedeCMS又被爆出存在文件包含漏洞。据了解,该漏洞影响版本为5.7.106以及之前的版本。影响范围较大,其中,文件uploads/dede/article_allowurl_edit.php存在缺乏对写入内容的安全过滤,导致可以写入任意内容,形成了该漏洞,具体漏洞详情如下:
织梦(DedeCms)也是一个国产内容管理系统,曾经爆出过众多漏洞,甚至还有人开发了dedecms漏洞一键扫描器
一般我们会使用织梦DedeCMS程序搭建内容类型的网站,而且有些内容单篇文章是比较长的。于是我们是不是看到有些网站在教程的内容篇幅中下面添加有【阅读更多】或者类似【阅读全文】的功能。那这个方法是如何实现的呢?这里如果我们也有需要将DEDECMS织梦程序实现文章内容页添加阅读更多功能的话可以效仿下面的办法进行页面处理。
这两天我们是不是看到有关于熟悉的DEDECMS织梦程序有发布通告,告知从10月25日24时之前,如果个人或者企业有在使用DEDECMS织梦程序的,且有在用商业用途的,必须要进行购买商业授权才可以使用,否则就可能遭受法律诉讼。一时间,我们站长圈内各种讨论,有的同学给客户做的企业网站几百个都是用的DEDECMS程序,这下有些犯难,如果一个授权5800元,那100个就是58万。这个成本还是相当高的,有些朋友接单的企业网站都没有5800元。
大家好,又见面了,我是你们的朋友全栈君。power by dedecms什么意思,power by dedecms怎么去掉
织梦dedecms系统默认的网站地图生成系统是将sitemap文件生成到 “data” 目录下,但是dede的robots.txt中又禁止了“data”目录的抓取,所以通常情况下,搜索引擎可能无法正常专区网站地图。
dedecms织梦系统是全站生成静态html的,这个对搜索引擎比较友好,但是有时我们要调用文章,让蜘蛛每次来访问都感觉像是有添加新内容一样,要如何做到呢?
关于dedecms模板文件,可以参考织梦系统文件夹功能简介或者是之前发布的dedecms的安装介绍.
dedecms :说这个是国内人气最旺的cms,我想没有人反对吧? 中国站长站(chinaz.com),站长资讯(admin5.com),称这两个站点是大站,没人反对吧?如果你做的是个人站点,如果数据
领取专属 10元无门槛券
手把手带您无忧上云